“‘주콤퓨터’ ‘기억기’ 등 북한식 표현…중·러는 해킹 대상에도 없었다”

싱가포르 사이버보안 기업 사이퍼마가 24일 공개한 북한 연계가 의심되는 해커들의 한국어 대화 모습. ‘여과’를 ‘려과’(빨간색 원)로 쓰는 등 북한식 표기가 나타난다. [사진 사이퍼마]

전 세계 웹사이트 약 70%에 쓰이는 프로그래밍 언어 PHP의 보안 허점으로 각국이 긴급 대응에 나선 가운데, 이를 노리는 해킹 집단의 북한 연계 가능성을 제기한 곳이 있다. 싱가포르에 본사를 둔 글로벌 보안기업 사이퍼마다. 사이퍼마는 지난 23일 공개한 보고서를 통해 PHP 사태 이후 “한 해킹 집단이 한국어로 표적 목록과 작업 지시를 주고받으며 정부기관, 은행 등을 최우선으로 노리고 있다”며 “북한 해킹 조직 라자루스와 공격 전술이 유사하다”는 분석으로 주목받았다. 라자루스는 세계 각국 정부와 기업의 정보와 금전 탈취를 병행해온 북한 정찰총국 산하 해킹조직이다.

쿠마르 리테시

사이퍼마 창업자 쿠마르 리테시(사진) 대표는 25일 중앙일보와 서면 인터뷰에서 “북한 연계가 의심되는 해커들이 24일 밤 한국·미국 등을 겨냥해 웹서버 등 216개 표적 목록을 예정보다 일찍 완성했다는 대화를 나눈 정황을 포착했다”며 추가 해킹 정황을 공개했다. 또 북한 연계를 확정한 단계는 아니라면서도 “해커들이 인터넷을 ‘인터네트’, 메모리를 ‘기억기’라고 부르는 북한식 표현을 사용했다”며 근거도 공개했다. 다음은 일문일답.

Q : 해킹 시도 어떻게 발견했나.
A : “올해 중반부터 신원을 숨겨 소통하는 통신망 ‘I2P’의 비공개 대화방에서 ‘전창혁 2’와 ‘최아린’이라는 계정을 추적했다. PHP 취약점 공개 이후 두 사람의 대화는 단순한 잡담으로 보기 어려웠다. 보안 업데이트가 안 됐거나 일부 조치만 이뤄진 PHP 서버를 고르고, 어느 나라와 업종부터 노릴지 구체적 지시를 주고받았다. 지난 24일 밤에는 216개 표적 목록을 예정보다 하루 일찍 완성했다는 보고까지 받았다.”

Q : 216개의 표적은 뭘 뜻하나.
A : “웹사이트를 운영하는 컴퓨터인 서버 216개를 공격 대상으로 골랐다는 뜻이다. 대화에선 정부기관과 은행을 먼저, 이어 물류·공항·항공·제조업·온라인 거래 플랫폼을 겨냥하라고 했다. 한국·미국·일본과 유럽연합 등이 우선 대상이다.”

Q : 북한 연계 세력으로 의심하는 이유는.
A : “같은 계정들이 과거에도 라자루스와 유사 작전을 벌이는 것을 관측했다. 이번 대화에서도 한국어를 쓰면서 인터넷을 인터네트, 서버 등을 주콤퓨터, 메모리를 기억기라고 부르는 북한식 표현을 썼다. 취약한 PHP 서버가 많은 중국·러시아가 표적 명단에서 빠진 점도 과거 북한의 표적 선정과 닮았다.”

Q : 어떻게 대응해야 하나.
A : “AI는 취약점 공개부터 악용까지 간격을 몇 주에서 며칠, 때로는 몇 시간으로 줄였다. 매달 정해진 업데이트 날짜를 기다리지 말고 공격자들이 노리는 서버부터 서둘러 고쳐야 한다.”

박태인 기자